Soluzioni alternative alla PEC
La soluzione alternativa alla PEC: i certificati S/MIME.
- Dominiando
(per gentile concessione de Ilsoftware.it)
Tutti i programmi (client) per l'invio e la ricezione della posta elettronica che supportano il formato S/MIME sono in grado di gestire certificati digitali: questi ultimi servono a firmare sia le e-mail che i relativi allegati rendendoli immodificabili e dando valore legale agli stessi. In aggiunta, è anche possibile crittografare i messaggi rendendo così sicuro il loro trasporto.
MIME è l’acronimo di Multipurpose Internet Mail Extensions e fissa uno standard per il formato di un messaggio di posta elettronica. Ogni messaggio inviato attraverso un server SMTP è considerabile come in formato MIME. Le varie parti di un’e-mail ed, in particolare, le indicazioni MIME inserite al suo interno, specificano, ad esempio, il formato con cui viene inviato il messaggio (solo testo o html), la codifica utilizzata, eventuali allegati e così via.
S/MIME (Secure Multipurpose Internet Mail Extensions) è uno standard per la crittografia a chiave pubblica e per la firma dei messaggi di posta elettronica che si inserisce all'interno delle specifiche di MIME. S/MIME, originariamente sviluppato da RSA Security, fornisce la possibilità di autenticare, verificare l'integrità, garantire il non ripudio (utilizzando la firma digitale) e proteggere il messaggio (utilizzando la crittografia) trasmesso in Rete.
Rispetto alla PEC, l'impiego di un certificato S/MIME permette ad esempio di certificare l'intero contenuto del messaggio che si invia, consente di inviare comunicazioni a qualunque tipo di indirizzo e-mail, è interoperabile con qualunque sistema ed è valido in tutto il mondo. Inoltre, l'uso di un certificato S/MIME consente di fidare su di una soluzione che garantisce massima portabilità ed in più è in grado di permettere la protezione del contenuto del messaggio grazie alla crittografia.
Due esempi di società (“Certification Authority” o CA) che mettono a disposizione, gratuitamente se per uso personale, certificati digitali da utilizzare per la posta elettronica sono Globaltrust (italiano) e Thawte.
La “Certification Authority” è un ente (trusted third party), pubblico o privato, che è abilitato al rilascio di un certificato digitale previa verifica delle generalità dell'utente richiedente. Il sistema adottato è quello “a chiave pubblica” (o “asimmetrica”): una chiave viene inserita all'interno del certificato (“pubblica”) mentre l'altra, collegata alla chiave pubblica, deve restare assolutamente segreta e conservata con cura da parte dell'utente (“chiave privata”).
La coppia chiave pubblica-chiave privata può essere generata autonomamente da parte dell'utente servendosi di un programma “ad hoc”. Le CA rappresentano la soluzione tra la chiave pubblica e la persona che è in possesso della relativa chiave privata.
Senza passare per una CA, due interlocutori possono creare la propria coppia chiave privata/pubblica, pubblicando poi quelle pubbliche su un “keyserver” (si tratta di server, di libero accesso, che raccolgono le chiavi pubbliche di milioni di utenti di tutto il mondo).
Nella letteratura, quando si parla di crittografia, ci si imbatte spessissimo nei due amici Alice e Bob. Si tratta di nomi convenzionali che vengono solitamente utilizzati per riferirsi a due interlocutori.
Quando altre due persone si aggiungono alla comunicazione, vengono generalmente usati i nomi di Carol e Dave. Non può mancare “il cattivo”, di solito identificato con il nome di Mallory.
Supponiamo che Bob voglia inviare un messaggio ad Alice, firmato e crittografato. Egli provvede a firmarlo usando la sua chiave privata quindi lo codifica usando la chiave pubblica di Alice, recuperata – ad esempio – da un “keyserver”, pubblicata sul sito web di Alice o comunicata precedentemente via e-mail. Una volta che Alice riceve la comunicazione, questa viene decifrata usando la sua chiave privata verificando la firma del messaggio usando la chiave pubblica di Bob.
Alice, a questo punto, sa che il messaggio era a lei destinato e che è stato firmato da Bob. Purtuttavia, non c'è la piena certezza che la chiave usata sia realmente di proprietà di Bob perché manca un'attestazione “ufficiale” circa la corrispondenza tra la chiave e la persona “fisica”. Il “malintenzionato” Mallory potrebbe essere in grado di sostituire la chiave pubblica del destinatario con una “fasulla” in modo tale da poter intercettare tutte le comunicazioni.
Le CA si occupano di controllare l'identità di un utente producendo, dopo le necessarie verifiche, un certificato che è firmato digitalmente dalla CA stessa (che gode della fiducia delle parti coinvolte nella comunicazione). Grazie a questo espediente, è possibile stabilire immediatamente l'attendibilità e la validità di qualunque certificato digitale.
